1. Úvod a pozadí vzniku
1.1 Shrnutí
1.2 Pozadí vzniku GDPR
1.2.1 Úvod
1.2.2 Historie ochrany osobních dat
2. Hodnota osobních údajů
2.1 Osobní údaje a online
2.2 Hodnota pro firmy
2.3 Benefit pro spotřebitele
2.4 Přínosy a ztráty
3. Co je obecné nařízení GDPR
3.1 GDPR – obecné nařízení EU
3.1.1 Co znamená Obecné nařízení o ochraně osobních údajů?
3.1.2 Proč muselo dojít k revizi právního rámce ochrany osobních údajů?
3.1.3 S nařízením jsem nikdy nepracoval, má nějaké zvláštnosti?
3.1.4 Co znamená datum použitelnosti Obecného nařízení?
3.1.5 Co bude se současným zákonem o ochraně osobních údajů?
3.1.6 Kdo se bude muset Obecným nařízením řídit?
3.1.7 Na jaké činnosti Obecné nařízení nedopadá?
3.2 Nové přístupy a povinnosti
3.2.1 Na jakých nových přístupech je Obecné nařízení založeno?
3.2.2 Jak budu jako správce dokládat soulad zpracování?
3.2.3 Osvědčení má sloužit k prokázání souladu zpracování s nařízením
3.2.4 Kdo bude vydávat kodexy a osvědčení?
3.2.5 Jaké nové povinnosti Obecné nařízení přináší?
3.2.6 Kdy musí správce provést posouzení vlivu na ochranu osobních údajů?
3.2.7 Kdy musí správce konzultovat zpracování dat s ÚOOÚ?
3.2.8 Co jsou záznamy o činnostech?
3.2.9 Kdo nemusí vést záznamy o činnostech zpracování?
3.3 Nejdůležitější pojmy
3.3.1 Co je zpracováním osobních údajů?
3.3.2 Co je osobní údaj?
3.3.3 Kdo je subjekt údajů?
3.3.4 Co se rozumí profilováním?
3.3.5 Kdo je správce?
3.3.6 Kdo je zpracovatel?
3.4 Zásady a právní důvody zpracování
3.4.1 Na jakých zásadách je Obecné nařízení postaveno?
3.4.2 Co se rozumí právními důvody zpracování osobních údajů?
3.4.3 Jaké jsou právní důvody zpracování osobních údajů subjektu údajů?
3.4.4 Co znamená souhlas se zpracováním osobních údajů?
3.4.5 Jaké jsou podmínky udělení souhlasu se zpracováním osobních údajů?
3.4.6 Je souhlas odvolatelný?
3.4.7 Jak to bude se současnými souhlasy za použitelnosti Obecného nařízení?
3.4.8 Mohu zpracovávat osobní údaje zveřejněné na internetu?
3.5 Zvláštní kategorie osobních údajů (citlivé údaje)
3.5.1 Proč se rozlišují zvláštní kategorie osobních údajů?
3.5.2 Jaké údaje spadají do zvláštní kategorie osobních údajů?
3.5.3 Kdy lze zvláštní kategorie osobních údajů zpracovávat?
3.6 Práva subjektu údajů
3.6.1 Jaká jsou práva subjektu údajů?
3.6.2 Co se rozumí přístupem k osobním údajům?
3.6.3 Co když jsou údaje nepřesné?
3.6.4 Co znamená právo být zapomenut?
3.6.5 Co znamená právo na přenositelnost údajů?
3.6.6 Kdy lze vznést námitku proti zpracování osobních údajů?
3.6.7 Jak rychle musí správce reagovat na podanou žádost subjektu údajů?
3.6.8 Může správce účtovat náklady v souvislosti s právy subjektu údajů?
3.6.9 Co když subjekt údajů zneužívá své právo?
3.7 Správce, zpracovatel
3.7.1 Za co správce odpovídá?
3.7.2 Mohou být společní správci?
3.7.3 Jak se mě, jako správce, dotkne Obecné nařízení?
3.7.4 Jak na vztah správce – zpracovatel?
3.7.5 Může zpracovatel zapojit do zpracování jiného zpracovatele?
3.8 Zabezpečení osobních údajů
3.8.1 Jak musí správce zabezpečit osobní údaje?
3.8.2 Co se rozumí porušením zabezpečení osobních údajů?
3.8.3 Hlášení správce při bezpečnostním incidentu ÚOOÚ
3.8.4 Oznámení správce při bezpečnostním incidentu subjektu údajů
3.8.5 Jak se určí riziko porušení zabezpečení?
3.8.6 Existuje povinnost správce šifrovat nebo pseudonymizovat?
3.9 Pověřenec pro ochranu osobních údajů
3.9.1 Musí mít svého pověřence každá obec?
3.9.2 Musí být pověřenec podřízen přímo vedení organizace?
3.9.3 Jaké jsou úkoly pověřence pro ochranu osobních údajů?
3.9.4 Jaké má mít pověřenec pro ochranu osobních údajů vzdělání?
3.9.5 Musí být pověřenec pro ochranu osobních údajů certifikován?
3.9.6 Může poskytnout pověřence i právnická osoba jako službu?
3.10 Předávání osobních údajů do jiných zemí
3.10.1 Jak lze předávat osobní údaje do zemí Evropské unie?
3.10.2 Jaké jsou možnosti předávání osobních údajů do zemí mimo EU?
3.10.3 Předání založené na rozhodnutí o odpovídající ochraně
3.10.4 Co se rozumí předáváním založeným na vhodných zárukách?
3.10.5 Co jsou závazná podniková pravidla?
3.11 Sankce, pokuty
3.11.1 Jaké jsou podmínky pro ukládání pokut?
3.11.2 Jak vysoká může být udělená pokuta?
3.11.3 Jsou při ukládání pokut polehčující či přitěžující okolnosti?
3.12 Různé
3.12.1 Platnost oznamovací povinnosti v současné podobě
3.12.2 Co je to skupina WP29?
3.12.3 Poskytuje Úřad konzultace k Obecnému nařízení?
3.13 Příprava na GDPR
3.13.1 Kontrolní seznam sebehodnocení
4. Zásady a principy GDPR
4.1 Princip 1. – Zákonnost, korektnost a transparentnost
4.2 Princip 2. – Omezení účelem
4.2.1 Vztah mezi původním a dalšími účely
4.2.2 Kontext sběru údajů
4.2.3 Povaha údajů a dopad dalšího zpracování na subjekty údajů
4.3 Princip 3. – Minimalizace dat
4.4 Princip 4. – Přesnost
4.5 Princip 5. – Omezení uložení
4.5.1 Mazání osobních údajů v IT systémech
4.6 Princip 6. – Integrita a důvěrnost
4.6.1 Manažerská a organizační opatření
4.6.2 Personál
4.6.3 Fyzická bezpečnost
4.6.4 Kybernetická bezpečnost
4.6.5 Využití zpracovatele
4.6.6 Porušení zabezpečení dat
4.7 Princip 7. – Zodpovědný přístup a prokázání souladu
5. Práva a odpovědnosti
5.1 Práva osob
5.1.1 Právo být informován
5.1.2 Právo na přístup
5.1.3 Právo na opravu
5.1.4 Právo na výmaz (být zapomenut)
5.1.5 Právo na omezení zpracování
5.1.6 Právo přenositelnosti
5.1.7 Právo vznést námitku
5.1.8 Práva spojená s automatizací rozhodování a profilováním
6. Projekt implementace GDPR do organizace
6.1 GAP analýza
6.1.1 Výstup GAP analýzy
6.1.2 Postup při GAP Analýze
6.2 Posouzení vlivu na ochranu osobních údajů (DPIA)
6.2.1 Proč provádět DPIA?
6.2.2 Co je DPIA?
6.2.3 Kdy je DPIA povinné?
6.2.4 Kdy DPIA není vyžadováno?
6.2.5 DPIA u již existujících zpracování
6.2.6 Kdy DPIA provést?
6.2.7 Kdo má DPIA provést?
6.2.8 Metodika provádění DPIA
6.2.9 Zveřejnění DPIA
6.2.10 Doporučení k provádění DPIA
6.2.11 Datové toky
6.2.12 Příchozí data
6.2.13 Odchozí data
6.2.14 Posouzení rizik
6.2.15 Pseudonymizace
6.2.16 Riziko pro ochranu osobních údajů
6.2.17 Provedení posouzení vlivu na ochranu osobních údajů
6.2.18 Kdo se na DPIA podílí?
6.2.19 Zpráva o posouzení vlivu na ochranu osobních údajů
6.3 Rizika
6.3.1 Zdroje rizik
6.3.2 Incidenty
6.3.3 Hrozby
6.3.4 Rizika
6.3.5 Problémy při hodnocení rizik
6.3.6 Postup při hodnocení rizik
6.3.7 Identifikace zdrojů nebezpečí
6.3.8 Vyhodnocení rizik
6.3.9 Míra rizik
6.3.10 Příklady hodnocení rizik
7. Souhlas se zpracováním osobních údajů
7.1 Souhlas
7.1.1 Odvolání souhlasu
7.1.2 Kdy není souhlas nezbytný
7.2 Souhlas v praxi
7.2.1 Pravidla pro správné získání souhlasu
7.3 Role souhlasu v GDPR
7.4 Vyžadovat souhlas vždy?
7.5 Zpracování osobních údajů bez souhlasu
7.6 Alternativy k udělení souhlasu
7.7 Souhlas daný svobodně
7.8 Konkrétní a informovaný souhlas
7.9 Jednoznačnost vyjádřením nebo jasnou kladnou akcí
7.10 Výslovný souhlas
7.11 Délka trvání souhlasu
7.12 Souhlas dítěte
7.13 Souhlas u zvláštní kategorie osobních dat
7.14 Souhlas pro účely vědeckého výzkumu
7.15 Kdy je souhlas neplatný?
7.16 Žádost o udělení souhlasu
7.17 Záznamy o udělených souhlasech
7.18 Právo odvolání souhlasu
7.19 Zpracování u rozsudků v trestních věcech a trestných činů
8. Role a odpovědnosti v rámci GDPR
8.1 Odpovědnosti
8.1.1 Správci
8.1.2 Společní správci
8.1.3 Zpracovatelé
8.2 Zpracování mimo EU
8.2.1 Klíčové požadavky
8.2.2 Odpovídající ochrana
8.2.3 Vhodné záruky
8.2.4 Vymahatelnost
8.2.5 Závazná podniková pravidla
8.2.6 Omezené přenosy
8.3 Záznamy zpracování
8.4 Kontrola orgánem dohledu
8.5 Pověřenec pro ochranu osobních údajů
8.5.1 Kdo musí jmenovat pověřence pro ochranu osobních údajů?
8.5.2 Jmenování pověřence ochrany osobních údajů
8.5.3 Povinnosti pověřence ochrany osobních údajů
8.5.4 Působení pověřence v organizaci
8.5.5 Pověřenec ve vztahu k dozorovému orgánu
8.5.6 Pověřenec jmenovaný zpracovatelem
8.5.7 Snadná dosažitelnost z každého podniku
8.5.8 Odbornost a znalosti pověřence
8.5.9 Úroveň odbornosti
8.5.10 Profesionální kvality
8.5.11 Schopnost plnit své úkoly
8.5.12 Outsourcing pověřence
8.5.13 Zveřejnění a sdělování kontaktních údajů pověřence
8.5.14 Postavení pověřence
8.5.15 Úkoly pověřence
8.6 Hlavní činnosti
8.6.1 Velký rozsah
8.6.2 Systematické monitorování
8.6.3 Zvláštní kategorie údajů a údajů týkající se trestů
8.7 Školení
8.7.1 Zaměstnanci musí chápat obsah GDPR
8.7.2 Školení musí být relevantní
8.7.3 Školení musí být osobní
8.7.4 Zaměstnanci musí být schopni rozpoznat porušení
8.7.5 Kdy se školením začít
8.8 Personalistika
8.8.1 Zdravotní informace zaměstnanců
8.8.2 Práva zaměstnanců
9. Informační technologie
9.1 GDPR a IT technologie
9.1.1 Tiskárny a reprografická technika
9.1.2 Zabezpečení koncových zařízení
9.1.3 Bezpečí přenosných zařízení
9.2 Kybernetická bezpečnost
9.2.1 Vztah GDPR a ISO norem 27001, 27018
9.2.2 Definice struktury
9.2.3 Úroveň 1 – kapitola 4 – 10 a způsob, jak lze ISMS použít pro GDPR
9.2.4 Úroveň 2 – procesy ISMS
9.2.5 Úroveň 3 – použití přílohy A 114 opatření
9.2.6 Úroveň 4 – úprava 114 opatření v příloze A
9.2.7 Úroveň 5 – opatření z jiných ISO standardů
9.2.8 Propojení ochrany osobních údajů s ISMS
9.2.9 Úprava 114 opatření
9.2.10 Porovnání ochrany osobních údajů a zabezpečením informací
9.3 Document Management System
9.4 Bezpečnost Wi-Fi
9.4.1 Pravidla bezpečné Wi-Fi
9.5 Heslová politika
9.6 Nebezpečí virů – Ransomware
9.7 Kamerové systémy
9.8 Online
9.8.1 Dokončování
9.8.2 Online zpracování
9.8.3 Sběr správných osobních údajů
9.8.4 Zachování osobních údajů
9.8.5 Bezpečné uchovávání osobních údajů
9.9 Online oznámení o ochraně osobních údajů
9.9.1 Zmapování zpracování informací
9.9.2 Sdílení dat s dalšími zpracovateli
9.9.3 Nad rámec právních požadavků
9.9.4 Nástroj pro správu nastavení osobních údajů
9.10 Sdílení dat
9.11 Šifrování
9.11.1 Moderní šifry
9.11.2 Praktické využití šifrování
9.11.3 Šifrování a GDPR
9.11.4 Šifrování v praxi
9.12 Dodavatelé
9.12.1 Kritéria pro hodnocení dodavatele
9.13 Cloud jako outsourcovaná služba
9.13.1 Technická a organizační opatření
9.13.2 Dokumentace
9.13.3 Role pověřence
9.13.4 Subdodávky obecně
9.13.5 Smluvní ujednání
9.13.6 Certifikace a kodexy
9.13.7 Přenesený vztah a povinnosti správce
9.14 Narušení integrity dat
9.14.1 Hlášení
9.14.2 Incident není událost
9.14.3 Postup šetření incidentu
9.15 Bezpečnost „by design“
9.15.1 Infrastruktura
9.15.2 GDPR a orgány vyšetřování
10. Doplňující předpisy v oblasti ochrany osobních údajů
10.1 Nařízení o soukromí a elektronických komunikacích (PECR)
10.1.1 Rozšíření působnosti nařízení
10.1.2 Ochrana metadat
10.1.3 Pravidla pro používání cookies
10.1.4 Ochrana proti spamu
10.1.5 Přímá závaznost
10.1.6 Podnikatelské příležitosti
10.2 Štít EU – USA na ochranu soukromí
10.2.1 Povinnosti pro členy štítu
10.2.2 Právo být informován
10.2.3 Omezení účelů použití
10.2.4 Povinnost minimalizace údajů
10.2.5 Povinnost zabezpečit údaje
10.2.6 Povinnost ochránit údaje předané jiné společnosti
10.2.7 Právo na přístup k údajům a jejich opravu
10.2.8 Právo podat stížnost a dosáhnout nápravy
10.2.9 Mechanismus ombudsmana v USA
11. Mýty, fakta, otázky a odpovědi
11.1 Pokud chcete zpracovávat osobní údaje, musíte mít souhlas
11.1.1 Odkazování na obecné nařízení jako na směrnici
11.1.2 Označování obecného nařízení za revoluci v právech subjektu údajů a v povinnostech správců
11.1.3 Rozšiřuje se definice osobního údaje
11.1.4 Je lepší mít paušální souhlas subjektu údajů než se zabývat jednotlivými zákonnými důvody
11.1.5 Šifrování je povinné
11.1.6 Každý, popř. téměř každý správce musí mít pověřence pro ochranu osobních údajů
11.1.7 Pověřenec musí mít osvědčení (certifikát)
11.1.8 Obecné nařízení klade na pověřence pro ochranu osobních údajů vysoké, obtížně splnitelné nároky
11.1.9 Správce nemůže pověřenci pro ochranu osobních údajů ukládat úkoly
11.1.10 Nově hrozí správcům a zpracovatelům pokuty dle obratu
11.2 Když se zúčastním veřejné akce, mohou organizátoři bez mého souhlasu použít mé fotografie k reklamě?
11.3 Na svém webu používám soubory cookie – co musím zvážit?
11.4 Obávám se snímku dostupného v Google Street View, co mám dělat?
11.5 Jaká jsou má práva týkající se mých výsledků zkoušky s tím, že je mé jméno uvedeno na vývěsce nebo nástěnce?
11.6 Má cestovní kancelář si vyžádala velké množství osobních údajů jako součást procesu rezervace dovolené. Jsem povinen předat tyto informace?
11.7 Může správce daně bez mého souhlasu získat informace o mých osobních údajích?
12. Slovník pojmů ochrany osobních údajů a GDPR
12.1 Ochrana osobních údajů
12.2 General Data Protection Regulation
12.3 Internet a online
13. Vzory
13.1 Příklad dohody o mlčenlivosti
13.2 Popis pracovní pozice DPO
13.3 Hlášení incidentu
13.4 Žádost o udělení souhlasu s přímým marketingem
13.5 Kontrolní formulář souhlasu
13.6 Identifikace zpracování
Zdroje
Skrýt obsah